生成OpenSSL证书时如何自动处理PEM密码短语？

嘿，我来帮你搞定这个OpenSSL生成证书时自动输入PEM密码的问题！其实OpenSSL本身就提供了参数来跳过交互式密码输入，下面给你两种常用的自动化方案：

方案一：使用-passout参数直接指定密码 #

你可以在原命令中添加-passout参数，直接传递密码，支持几种不同的传递方式：

• 明文直接传递（仅测试场景推荐）：
  直接在命令里写密码，操作简单但安全性低，会在命令历史中留下痕迹：

  openssl req -x509 -newkey rsa:2048 -keyout myserver.key -out myserver.crt -subj "/C=US/ST=California/L=San Diego/O=Development/OU=Dev/CN=example.com" -passout pass:your_custom_password
  

  把your_custom_password替换成你实际要设置的密码即可。

• 从环境变量读取（相对安全）：
  先设置环境变量存储密码，再让OpenSSL读取，避免密码出现在命令行中：

  export SSL_PASSWORD="your_secure_password"
  openssl req -x509 -newkey rsa:2048 -keyout myserver.key -out myserver.crt -subj "/C=US/ST=California/L=San Diego/O=Development/OU=Dev/CN=example.com" -passout env:SSL_PASSWORD
  

• 从文件读取（适合批量/生产场景）：
  把密码写入一个专用文件，然后限制文件访问权限（避免其他用户读取），再让OpenSSL读取：

  echo "your_secure_password" > ssl_passwd.txt
  chmod 600 ssl_passwd.txt
  openssl req -x509 -newkey rsa:2048 -keyout myserver.key -out myserver.crt -subj "/C=US/ST=California/L=San Diego/O=Development/OU=Dev/CN=example.com" -passout file:ssl_passwd.txt
  

方案二：使用OpenSSL配置文件 #

如果你的场景需要更复杂的定制，也可以通过配置文件来定义密码和证书信息：

1. 创建一个openssl_config.cnf配置文件，写入以下内容：

   [req]
   prompt = no
   distinguished_name = req_distinguished_name
   passout = pass:your_secure_password
   
   [req_distinguished_name]
   C = US
   ST = California
   L = San Diego
   O = Development
   OU = Dev
   CN = example.com
   

2. 执行命令时指定该配置文件：

   openssl req -x509 -newkey rsa:2048 -keyout myserver.key -out myserver.crt -config openssl_config.cnf
   

安全小提醒 #

• 生产环境中尽量避免明文传递密码，优先选择环境变量或文件读取的方式。
• 用文件存储密码时，一定要设置严格的文件权限（比如chmod 600），防止密码被无关人员获取。

内容的提问来源于stack exchange，提问作者Jake Wilson